Посточнно: "Оперативная память » explorer.exe(1964)"

[Depart]

Добрый день!
Каждый раз при включении компьютера NOD32 обнаруживает: "Оперативная память » explorer.exe(1964) - вероятно модифицированный Win32/TrojanDownloader.Carberp.AF троянская программа - очистка невозможна". Число в скобках каждый раз меняется.
Dr.Web Cureit не помог.

[Info_bot]

Уважаемый(ая) Depart, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Сделайте лог полного сканирования МВАМ

[Depart]

Сделайте лог полного сканирования МВАМ

Отправляю log.

[thyrex]

Удалите в МВАМ только указанные строки

Обнаруженные папки:  1
C:\Program Files\Common Files\wm\keys (Trojan.KeyLog) -> Действие не было предпринято.

Обнаруженные файлы:  22
C:\WINDOWS\system32\blphc92nj0ejbr.scr (PUP.FakeBlueScreen) -> Действие не было предпринято.
C:\Documents and Settings\Serg\DoctorWeb\Quarantine\A0062006.exe (Trojan.Agent.PE5) -> Действие не было предпринято.
C:\WINDOWS\system32\blphc92nj0ejbr.scr (Trojan.FakeAlert) -> Действие не было предпринято.
C:\Documents and Settings\Serg\Application Data\igfxtray.dat (Malware.Trace) -> Действие не было предпринято.
C:\WINDOWS\system32\ieunitdrf.inf (Malware.Trace) -> Действие не было предпринято.
C:\WINDOWS\Debug\UserMode\explorer.exe (Heuristics.Reserved.Word.Exploit) -> Действие не было предпринято.

[Depart]

Указанные строки удалил.
Извините, что запоздал - комп домашний, а работы много.

[regist]

C:\Documents and Settings\Serg\Мои документы\Избранное\ya_plyuyu_na_vashi_mogily___i_ spit_on_your_grave_2010_bdrip_1080p_rip_by_neofilm .exe это у вас что ?

[Depart]

C:\Documents and Settings\Serg\Мои документы\Избранное\ya_plyuyu_na_vashi_mogily___i_ spit_on_your_grave_2010_bdrip_1080p_rip_by_neofilm .exe это у вас что ?

Однажды пытался посмотреть фильм под таким названием...
Но что это за файл - не знаю...

[regist]

удалите его тоже.

[Depart]

удалите его тоже.

Удалил

[regist]

теперь чисто .

Удалите MBAM.

[Depart]

теперь чисто .

Удалите MBAM.

Удалил.
Компьютер перезагрузился.
NOD32 выдал: Оперативная память » explorer.exe(312) - вероятно модифицированный Win32/TrojanDownloader.Carberp.AF троянская программа - очистка невозможна

[thyrex]

Сделайте лог ComboFix

[Depart]

Сделайте лог ComboFix

Сделано:

[regist]

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на диск C.

KillAll::

File::
C:\3ns7455y.exe
c:\documents and settings\Serg\Application Data\Microsoft\Installer\{3EE9BCAE-E9A9-45E5-9B1C-83A4D357E05C}\ARPPRODUCTICON.exe

Driver::

Folder::
c:\documents and settings\Serg\Application Data\usVGhvDaxUhOlvk
C:\usVGhvDaxUhOlvk
c:\documents and settings\Serg\Application Data\1erWbn8eFPDHzod
C:\kFv3DjpT2zpLehr
c:\documents and settings\Serg\Application Data\kFv3DjpT2zpLehr

Registry::

FileLook::

DirLook::
Reboot::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

Когда сохранится новый отчет ComboFix.txt прикрепите его к сообщению.

[Depart]

Выполнено.
Прикрепляю:

[thyrex]

Выполните скрипт в AVZ

begin
RegKeyParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost', 'DcomLaunch', 'REG_MULTI_SZ', 'DcomLaunch'#0'TermService');
RebootWindows(true);
end.

Компьютер перезагрузится.

Скопируйте текст ниже в Блокнот и сохраните как файл с названием CFScript.txt на диск С.

KillAll::

File::

Driver::

Folder::
c:\documents and settings\Serg\Application Data\usVGhvDaxUhOlvk
C:\usVGhvDaxUhOlvk
c:\documents and settings\Serg\Application Data\1erWbn8eFPDHzod
C:\kFv3DjpT2zpLehr
c:\documents and settings\Serg\Application Data\kFv3DjpT2zpLehr

Registry::

FileLook::
c:\windows\system32\sfcfiles.dll

DirLook::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

[Depart]

Выполнено:

[thyrex]

Мил человек, я просил сохранить файл со скриптом на диск С, а не на Рабочий стол.
Переделывайте

[Depart]

Мил человек, я просил сохранить файл со скриптом на диск С, а не на Рабочий стол.
Переделывайте

Извините дилетанта, бывают ошибки...

Вот исправил: (но с диска С файл пропал...)